防范SQL注入攻击的代码

SQL注入式攻击是利用是指利用设计上的漏洞，在目标服务器上运行Sql命令以及进行其他方式的攻击，动态生成Sql命令时没有对用户输入的数据进行验证是Sql注入攻击得逞的主要原因。比如：
　　如果你的查询语句是select * from admin where username=‘"&user&"‘ and password=‘"&pwd&"‘"
　　那么，如果我的用户名是：1‘ or ‘1‘=‘1
　　那么，你的查询语句将会变成：
select * from admin where username=‘1 or ‘1‘=‘1‘ and password=‘"&pwd&"‘"
　　这样你的查询语句就通过了，从而就可以进入你的管理界面。
　　所以防范的时候需要对用户的输入进行检查。特别式一些特殊字符，比如单引号，双引号，分号，逗号，冒号，连接号等进行转换或者过滤。
　　需要过滤的特殊字符及字符串有：
 net user
 xp_cmdshell
 /add
 exec master.dbo.xp_cmdshell
 net localgroup administrators
 select
 count
 Asc
 char
 mid
 ‘
 :
 "
 insert
 delete from
 drop table
 update
 truncate
 from
 %
　　下面是我写的两种关于解决注入式攻击的防范代码，供大家学习参考！
　　js版的防范SQL注入式攻击代码～：
[CODE START]　　
<script language="javascript">
<!--
var url = location.search;
var re=/^?(.*)(select%20|insert%20|delete%20from%20|count(|drop%20table
　　|update%20truncate%20|asc(|mid(|char(|xp_cmdshell|exec%20master
　　|net%20localgroup%20administrators|"|:|net%20user|‘|%20or%20)(.*)$/gi;
var e = re.test(url);
if(e) {
alert("地址中含有非法字符～");
location.href="error.asp";
}
//-->
<script>
[CODE END]
　　asp版的防范SQL注入式攻击代码～：
[CODE START]
＜%
On Error Resume Next
Dim strTemp
If LCase(Request.ServerVariables("HTTPS")) = "off" Then

最近在公司一边自学一边写PHP程序，由于公司对程序的运行效率要求很高，而自己又是个新手，一开始就注意程序的效率很重要，这里就结合网上的一些资料，总结下php程序效率优化的一些策略：

1.在可以用file_get_contents替代file、fopen、feof、fgets等系列方法的情况下，尽量用file_get_contents，因为他的效率高得多！但是要注意file_get_contents在打开一个URL文件时候的PHP版本问题

2.尽量的少进行文件操作，虽然PHP的文件操作效率也不低的；

3.优化Select SQL语句，在可能的情况下尽量少的进行Insert、Update操作(在update上，我被恶批过)；

4.尽可能的使用PHP内部函数（但是我却为了找个PHP里面不存在的函数，浪费了本可以写出一个自定义函数的时间，经验问题啊！）；

5.循环内部不要声明变量，尤其是大变量：对象(这好像不只是PHP里面要注意的问题吧？)；

6.多维数组尽量不要循环嵌套赋值；

7.在可以用PHP内部字符串操作函数的情况下，不要用正则表达式；

8.foreach效率更高，尽量用foreach代替while和for循环；

9.用单引号替代双引号引用字符串；

10.“用i+=1代替i=i+1。符合c/c++的习惯，效率还高”；

11.对global变量，应该用完就unset()掉

一、Web服务器安全
PHP其实不过是Web服务器的一个模块功能，所以首先要保证Web服务器的安全。当然Web服务器要安全又必须是先保证系统安全，这样就扯远了，无穷无尽。PHP可以和各种Web服务器结合，这里也只讨论Apache。非常建议以chroot方式安装启动Apache，这样即使Apache和PHP及其脚本出现漏洞，受影响的也只有这个禁锢的系统，不会危害实际系统。但是使用chroot的Apache后，给应用也会带来一定的麻烦，比如连接mysql时必须用127.0.0.1地址使用tcp连接而不能用localhost实现socket连接，这在效率上会稍微差一点。还有mail函数发送邮件也是个问题，因为php.ini里的：
[mail function]
; For Win32 only.
SMTP = localhost
; For Win32 only.
sendmail_from = me@localhost.com
都是针对Win32平台，所以需要在chroot环境下调整好sendmail。

如果你的php.ini中register_globals = On, 所有post, get, cookie, session的同名变量就会搅和在一起,
可以用$HTTP_*_VARS["username"]来判断你想要的那个变量.
但是即使同名, 在php.ini中variables_order = "GPCS"也会按照优先级别来判断, 等级低的值没法冲掉等级高的
所以, 如果一开始就用session_register("username")是明智的, 也可以用session_is_registered来判断变量是否已经注册.
这是一个例子:
if (!session_is_registered("username")) {
    $user_name= "";
    session_register("username");
}
同时保证你的php.ini中, variables_order = "GPCS" (缺省) S即session要放在最后, 优先.
register_globals = On有些浪费系统资源, 在优化配置中被关掉, 这样也避免了出现所谓漏洞.
因为以前碰到过这个问题, 给大家参考一下.
在 php.ini 配置文件里面有这个选项  

disable_functions = ; This directive allows you to disable certain
; functions for security reasons. It receives
; a comma separated list of function names.
; This directive is *NOT* affected by whether
; Safe Mode is turned on or off.  

写成
disble_function = phpinfo